MENU

Intune Connector for Active Directory 登録失敗で進まない原因はライセンス不足｜Windows Autopilot ハイブリッド Azure AD 参加

Azure

Windows Autopilot でハイブリッド Azure AD 参加を構成する際、Intune Connector for Active Directory の登録画面から進まず、Intune 管理センターにもコネクタが出てこないことがあります。ログが NullReferenceException や ODJ 失敗でも、原因が「登録に使うアカウントのライセンス未割り当て」だったケースを、切り分け手順と併せて解説します。

目次

現象：コネクタの登録が完了せず、ポータルにも表示されない

Windows Autopilot の ハイブリッド Azure AD 参加（オンプレ AD 参加＋クラウド登録） を組むために、オンプレ側へ Intune Connector for Active Directory（Intune AD コネクタ） を導入したものの、登録（Enrollment）ウィザードで止まってしまい、Intune 管理センターにもコネクタが出てこない──この症状は、原因が “クラウド側の利用権” にあるときに起こりがちです。

代表的な症状は次のとおりです。

  • 登録画面から先に進まず、完了しない（成功メッセージにならない）
  • ログに Enrollment failed、System.NullReferenceException などが出る
  • ODJ（Offline Domain Join）要求のダウンロード失敗やサーバー側エラーのような文言が出る
  • Intune 管理センター側で「Intune Connector for Active Directory」を探しても表示されない

ログの一例（イメージ）です。

Enrollment failed
System.NullReferenceException: Object reference not set to an instance of an object
Failed to download ODJ request (server error)

前提整理：Autopilot のハイブリッド Azure AD 参加でコネクタが担う役割

ハイブリッド Azure AD 参加は、端末を最終的にオンプレミスの Active Directory ドメインへ参加させます。しかし OOBE（初期セットアップ）中は、端末が社内ネットワークやドメイン コントローラー（DC）へ到達できない状況が珍しくありません。

そこで利用されるのが ODJ（Offline Domain Join） です。ODJ は、DC と直接通信できない端末でも、ドメイン参加に必要な情報（ODJ ブロブ）を受け取って適用することでドメイン参加を成立させる仕組みです。Intune AD コネクタは、この ODJ をオンプレ側で生成して Intune へ返す “橋渡し” を担当します。

ステップ何が起きるかポイント
端末Autopilot でプロファイルを受け取り、ハイブリッド参加として進行端末は Intune（クラウド）とは通信できる前提
IntuneODJ 要求を発行し、コネクタへ処理を依頼この経路が成立するにはコネクタ登録が必須
コネクタオンプレ AD にコンピュータ アカウントを作成し、ODJ ブロブを生成OU／権限／DC 到達性が重要
端末ODJ ブロブを適用し、ドメイン参加→以後のポリシー適用へODJ が取れないとここで止まる

つまり、コネクタが登録されていない（登録途中で失敗している）と、ODJ の受け渡しが成立せず、ハイブリッド参加が進みません。今回の「登録画面から進まず、ポータルにも表示されない」は、まさにこの入口で詰まっている状態です。

原因の結論：登録に使ったアカウントへ Intune を利用できるライセンスが割り当てられていなかった

結論から言うと、今回の根本原因は次の一点でした。

コネクタ登録（Enrollment）に使っていたアカウントに、Intune を利用できるライセンス（サービス プラン）が割り当てられていなかった。
必要なライセンスを割り当てたところ、登録が通り、その後の動作も正常化しました。

見落としやすいのは、次の点です。

  • Global Administrator／Intune Administrator などの 管理者ロールを持っていても、ライセンスが無いと登録処理が失敗することがある
  • 「デバイス管理の設計」ではユーザーのライセンスを強く意識していても、“コネクタ登録に使うユーザー” は検証用アカウントのままになりやすい
  • ライセンスは割り当てたつもりでも、サービス プラン（Intune）が OFF になっていると同じ症状になることがある

具体的な対処：ライセンス割り当てとサービス プランの確認

  1. コネクタ登録（Enrollment）でサインインしたユーザーを特定する。
  2. そのユーザーに Intune を含むライセンスを割り当てる（または割り当て済みなら “Intune のサービス プランが ON か” を確認する）。
  3. 反映後、コネクタの登録をやり直す。
  4. Intune 管理センターでコネクタが表示され、状態が正常（アクティブ）になっていることを確認する。
よく使われるライセンス例Intune が含まれるか補足
Microsoft Intune（単体）含まれる最小構成で分かりやすい
Microsoft 365 E3 / E5含まれることが多いテナント契約によりサービス プランの有無が異なる場合がある
Enterprise Mobility + Security（EMS）含まれることが多いEntra ID（旧 Azure AD）関連の機能と一緒に使われやすい
Microsoft 365 Business Premium含まれる中小規模の標準パッケージとして採用されやすい

ポイントは「どの SKU が正しいか」を暗記することではなく、“登録に使うユーザーに Intune の利用権が有効化されているか”を画面上で確認することです。

なぜライセンス不足が「NullReferenceException」「ODJ ダウンロード失敗」に見えるのか

ライセンス不足は本来「権限がありません」「利用できません」という形で返ってきそうですが、実際には UI／ログが必ずしも親切ではありません。登録ウィザードはクラウド API の失敗をうまく表示できず、例外（NullReferenceException）として丸めてしまうことがあります。その結果、原因が “アプリの不具合” や “ネットワーク” に見えてしまい、切り分けが長引きます。

見えている症状裏で起きている可能性最初に見るべき場所
Enrollment failed / NullReferenceException登録 API の失敗を UI が例外として出力登録ユーザーのライセンス／条件付きアクセス
ODJ 要求のダウンロード失敗コネクタ登録が成立せず、ODJ の経路が作れないIntune 管理センターにコネクタが表示されるか
ポータルに出てこない登録レコード自体が作成されていない登録完了まで進めるか（アカウント要件）

最短で原因に辿り着く切り分けフロー

IE ESC 無効化、MDM 設定、OU 上限、メンバーサーバー導入、アウトバウンド通信、権限（Global/Intune 管理者やオンプレ権限）などを事前に確認している場合でも、次の順番で見ると遠回りを減らせます。

優先度確認すること理由
高登録ユーザーに Intune を含むライセンスが割り当てられ、サービス プランが ON満たしていないと登録そのものが成立しない
高条件付きアクセス／MFA／場所制限などでサインインがブロックされていない“認証だけ” 落ちるとネットワークに見える
中インターネットへの HTTPS アウトバウンド（TCP 443）とプロキシ要件登録と同期の両方に影響する
中オンプレ AD の OU／委任権限／DC 到達性（DNS 含む）登録後の ODJ 生成に影響する
低証明書コネクタ関連ログハイブリッド参加だけなら主因でないことが多い

ネットワーク要件：インバウンド開放は原則不要、アウトバウンドとプロキシが主戦場

追加の疑問として挙がりやすいのが「インバウンド（受信）通信の許可が必要か？」です。結論としては、インターネットからオンプレ サーバーへ新たに受信許可を追加する必要は、基本的にありません。コネクタはオンプレ側からクラウドへアウトバウンドで接続して動作します（Azure AD Connect の考え方に近いです）。

一方で、次の 2 つは必ず押さえます。

  • クラウド宛てのアウトバウンド（HTTPS）が通ること（プロキシ環境なら例外設定を含む）
  • 社内の AD DS（DC／DNS）へ到達できること（ODJ の生成に必要）

アウトバウンドで頻出する宛先（代表例）

テナントや構成で変わるため “代表例” として捉えてください。プロキシや FW の許可リストを作る際の出発点になります。

宛先（例）用途詰まりやすい場面
manage.microsoft.comIntune の管理・デバイス管理管理センター表示はできても、サービス通信が落ちる
graph.microsoft.comMicrosoft Graph API登録・状態取得などの API が失敗
login.microsoftonline.com認証MFA／条件付きアクセスによりサインインが成立しない
*.azureedge.netCDN 配信SSL インスペクションで壊れる／断続的な失敗

プロキシ環境での典型的な落とし穴

状況起きること対策の考え方
認証プロキシ必須サービスが無人で認証できず通信失敗コネクタ サーバーの通信は未認証で通す／例外ルールを作る
SSL インスペクション有効トークン取得や証明書検証が壊れ、謎エラーが増える認証・Graph・CDN 系を検査対象から除外する
名前解決／経路が不安定成功と失敗が混在し、再現性が低いDNS と FW のログを突合し、許可の粒度を明確にする

サーバー要件と構成の確認ポイント

環境差はありますが、コネクタ導入サーバー側では次の前提を満たしているか確認します。

項目確認ポイント補足
OSWindows Server 2016 以降など、サポートされるバージョン古い OS は TLS／認証周りで詰まりやすい
.NET.NET Framework 4.7.2 以降など前提を満たす不足すると UI やサービスが不安定になることがある
時刻同期サーバー時刻が大きくズレていない認証トークン／Kerberos の失敗要因になる
社内到達性DC／DNS へ到達できるODJ 生成はオンプレ AD への通信が必須
更新運用定期的に更新・再起動を計画認証方式やセキュリティ要件の変化に追従しやすい

証明書コネクタのエラーが見える場合の考え方

ログに証明書コネクタ関連のエラーが混ざって見えることがありますが、ハイブリッド Azure AD 参加（ODJ）だけが目的なら、証明書コネクタ（NDES/SCEP など）が必須でない構成も一般的です。

Wi-Fi（EAP-TLS）や VPN、SCEP 証明書配布などを同時に設計している場合は別途対応が必要ですが、「登録画面で止まり、ポータルにも出ない」という段階では、まず Intune AD コネクタの登録成功に焦点を当てるのが近道です。

運用のベストプラクティス：次に同じ事故を起こさないために

  • 登録専用アカウントを用意し、用途を明確化する（検証用アカウントの使い回しを避ける）
  • そのアカウントに 必要なライセンスを必ず割り当てる（ロールとは別に監査）
  • 条件付きアクセスは “守る” と同時に “止めない” 設計にする（サーバー上のサインインがブロックされると登録だけ落ちる）
  • オンプレ AD の権限は、作成先 OU に対して必要最小限を委任する
  • コネクタ サーバーのログ採取手順（どこを見るか、誰が取るか）を決めておく
  • 可能なら複数台のコネクタで冗長化し、単一障害点を作らない

よくある質問

受信（インバウンド）ポートを開ける必要はありますか？

基本的には不要です。コネクタはオンプレからクラウドへアウトバウンドで接続して動作します。必要なのは、クラウド宛ての HTTPS アウトバウンドと、社内 AD DS（DC／DNS）への到達性です。

コネクタが Intune 管理センターに表示されないのはなぜですか？

登録が最後まで完了していない可能性が高いです。まずは「登録に使ったユーザーに Intune のライセンスが割り当てられているか」「サービス プランが ON か」を確認し、それでもだめなら条件付きアクセスやプロキシ要件を疑うのが効率的です。

Global Administrator を使っても失敗しました。次は何を見ればいいですか？

Global Administrator でも、ライセンス未割り当て／Intune サービス プラン無効だと同じ症状になることがあります。また、条件付きアクセスで “準拠デバイスのみ許可” や “特定場所のみ許可” を掛けている場合、サーバー上のサインインが通らず登録だけ落ちることがあるため、サインイン条件も併せて確認してください。

まとめ：登録失敗で止まるなら、最初に「ライセンス」を確認する

Intune Connector for Active Directory の登録が「Enrollment から進まない」「ODJ 取得に失敗する」「ポータルに表示されない」といった症状は、ネットワークや OU、権限が原因に見えがちです。しかし、管理者ロールが付いていても 登録ユーザーに Intune のライセンスが割り当てられていないと、登録処理が失敗することがあります。

同じ状況に遭遇したら、まずは “登録に使ったユーザーのライセンス（Intune サービス プラン）” を確認し、足りなければ割り当てて再登録してください。ここが通るだけで、NullReferenceException や ODJ 失敗に見えていた問題が一気に解消するケースがあります。

Azure
ライセンス Intune Windows Autopilot Intune Connector for Active Directory ハイブリッドAzureAD参加

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次